Por qué Francia ha multado a Criteo con 40 millones de euros

La Comisión Nacional francesa de Informática y de las Libertades (CNIL) impuso una multa de 40 millones de euros a Criteo, una de las principales agencias publicitarias y seguimiento en línea en Europa, debido a varias violaciones al Reglamento General de Protección de Datos (GPDR), entre ellas, el no poder demostrar el consentimiento válido de los usuarios para usar sus datos en la publicidad dirigida.

La decisión del organismo oficial encargado de velar por la protección de datos en Francia, se basó en la denuncia presentada en diciembre de 2018 por Privacy International, una ONG del Reino Unido. A este reclamo se unió más tarde None of Your Business (NOYB), una organización sin fines de lucro con sede en Austria. 

• Google y Facebook, sancionadas en Francia por sus políticas de aceptación de cookies

Cinco violaciones de Criteo al GPDR

Criteo ofrece servicios de «behavioral retargeting» o retargeting de comportamiento, para miles de sitios web. Para esto, integra cookies de seguimiento en las páginas web, analiza los hábitos de navegación de los usuarios y determina qué anunciante y para qué producto sería más relevante mostrar un anuncio a un usuario en particular. Luego, participa en licitaciones en tiempo real y muestra publicidad personalizada si ha ganado la licitación.

Concretamente, durante las investigaciones, la CNIL encontró cinco violaciones al GPDR:

• Falta de demostración de que el interesado (el usuario online) diera su consentimiento para el procesamiento de sus datos (Artículo 7.1).
• Incumplimiento de la obligación de información y transparencia (artículos 12 y 13): la política de privacidad estaba incompleta y no informaba para qué usaría los datos de los usuarios. Asimismo, algunos de los usos de los datos se expresaban con términos vagos y amplios, por lo que los usuarios no podían comprender de forma precisa para qué finalidades serian usados sus datos.
• Incumplimiento del derecho de acceso (artículo 15.1): no proporcionó todos los datos de los usuarios cuando estos lo solicitaban y en caso de darles la información, lo hacía en términos técnicos complicados.
• Incumplimiento del derecho a retirar el consentimiento y supresión de datos (artículos 7.3 y 17.1): al momento en que un usuario solicitaba que sus datos fueran eliminados, Criteo solo detenía la visualización de anuncios personalizada, pero no borraba los datos del usuario o su historial de navegación.
• Incumplimiento de un acuerdo entre corresponsables del tratamiento (artículo 26): Criteo no celebró acuerdos claros con sus empresas asociadas que estipulaban claramente el papel de cada parte y su obligación en cuanto a la gestión de datos de los usuarios. 

Por qué la multa ascendió a los 40M€

Para calcular el importe de la multa, la CNIL tuvo en cuenta dos aspectos importantes. En primer lugar, el hecho de que Criteo maneja datos de aproximadamente 370 millones de identificadores en la Unión Europea, por lo que el tratamiento que confiere a los datos afecta a un elevado número de personas. En este sentido, el organismo afirmó que, si bien es cierto que Criteo no tenía los nombres de cada usuario, «los datos eran lo suficientemente precisos para volver a identificar a las personas, en algunos casos». 

Además de esto, el organismo tuvo en cuenta el modelo comercial de la empresa (intermediario publicitario). Es decir, Criteo tiene la capacidad de recopilar gran cantidad de datos de los usuarios para mostrarles anuncios personalizados de sus clientes. Sin embargo, al no tener un consentimiento válido de los usuarios, podía utilizar estos datos y mostrarles los productos de otros de sus clientes, aumentando significativamente sus ingresos propios.

«El procesamiento de datos de personas sin prueba de su consentimiento válido permitió a la empresa aumentar indebidamente el número de personas afectadas por su procesamiento y, por lo tanto, los ingresos financieros que obtiene de su papel como intermediario publicitario» explicó la CNIL.

Cómo afecta esta multa a las finanzas de Criteo

La empresa de origen francés cotiza en la bolsa de Nueva York y cuenta con un gran respaldo financiero. Como podemos ver en el siguiente gráfico, el precio de sus acciones no sufrió consecuencias negativas luego del anuncio de la multa e incluso tuvo una revaloración de 0,22% entre el 26 y el 27 de junio pasados. Al día de hoy, cada acción de Criteo vale 33,02 dólares (unos 30,14€). Su pico máximo fue en junio de 2021, con una valoración de 45,23 dólares (unos 41,28€).

Durante el 2022 Criteo sufrió algunos altibajos debido al contexto macroeconómico y al conflicto armado en Ucrania, entre otros factores. Durante el primer trimestre del año pasado se contrajo en hasta un 6%, con 511 millones de dólares facturados frente a los 541 millones de 2021. Sin embargo, el beneficio bruto aumentó en un 3% y pasó de los 179 millones a los 184.

A pesar de este revés, la empresa anticipa un crecimiento acelerado a lo largo del año gracias a las inversiones realizadas a principios de 2022 y al aumento de la base de clientes importantes.

Imagen: Depositphotos